Política de Privacidade
Última atualização: 2026-09-19
O controlador dos dados pessoais tratados no Cross Growth OS é INCORP ENGENHARIA LTDA, inscrita no CNPJ sob o nº 08.689.508/0001-50, que opera sob a marca BIULD. Para qualquer assunto relativo a dados pessoais, incluindo o exercício dos direitos previstos na Lei 13.709/2018 (LGPD), o contato é suporte@mycross.com.br.
1. Em que papel atuamos
Como controladora: para os dados de cadastro, cobrança, atendimento, segurança e visitas ao site. São os dados de quem assina o Cross Growth OS, e é sobre eles que as decisões desta política se aplicam.
Como operadora: para os dados pessoais que o assinante inserir na plataforma — o conteúdo que ele envia, a audiência e a carteira de clientes dele. Nesses casos a organização contratante é a controladora e define para que esses dados são usados; nós apenas executamos o que ela pede. Cada assinante tem seu próprio painel e sua própria senha, e não acessamos o painel de um assinante para ver os dados de outro.
2. Dados que tratamos
| Categoria | O que é | Por quê |
|---|---|---|
| Conta | E-mail, senha armazenada apenas como hash, sessões e registro das tentativas de login (e-mail, sucesso/falha, data e hora) | Permitir o acesso e bloquear tentativas de adivinhação de senha |
| Organização | Nome da organização e dos espaços de trabalho, papéis atribuídos a cada membro | Separar os dados de cada assinante e decidir quem pode publicar ou aprovar |
| Assinatura | Plano, status, período vigente e os identificadores gerados pela Asaas (cliente, checkout, cobrança) | Controlar o acesso pago e conciliar pagamentos |
| Conteúdo | Vídeos, áudios e imagens enviados, cortes gerados, transcrições e legendas | Executar exatamente o que o assinante pediu: cortar, legendar, gerar e publicar |
| Conexões de canais | Tokens de acesso às contas do assinante nas plataformas, sempre cifrados, e o identificador da conta conectada | Publicar em nome do assinante, com a autorização que ele concedeu na própria plataforma |
| Anúncios | Identificadores das contas de anúncio, campanhas, orçamentos e métricas retornadas pelas plataformas | Criar e acompanhar campanhas, e respeitar os limites de orçamento configurados |
| Auditoria | Registro imutável de ações relevantes, com autor, data e resultado | Permitir investigar o que aconteceu; o registro não pode ser alterado nem apagado pelo sistema |
3. O que deliberadamente não guardamos
- Dados de cartão. O pagamento acontece em página hospedada pela Asaas. Número, validade e código de segurança nunca chegam a este sistema.
- CPF/CNPJ e documentos. As notificações que a Asaas nos envia são gravadas com os campos de documento, telefone, endereço e cartão substituídos por um marcador antes de serem armazenadas. O que fica registrado é qual assinatura foi paga, não quem é o pagador.
4. Com quem os dados são compartilhados
Somente com os prestadores necessários para executar a função pedida, e apenas os dados necessários para aquela função:
| Prestador | Para quê | O que recebe |
|---|---|---|
| Asaas | Cobrança de assinaturas | Dados de cobrança fornecidos pelo assinante no checkout e o identificador da assinatura |
| OpenAI | Transcrição de áudio para legendas e cortes | O áudio do arquivo que o assinante enviou |
| Runway | Geração de vídeo por IA | O prompt e a imagem de referência enviados |
| Meta (Facebook e Instagram), Google (Google Ads e YouTube) e TikTok | Publicação de conteúdo e gestão de campanhas | O conteúdo a publicar e os parâmetros da campanha, nas contas que o próprio assinante conectou |
Alguns desses prestadores processam dados fora do Brasil. A transferência ocorre para executar o contrato com o assinante, nos termos do art. 33 da LGPD. Não vendemos dados pessoais e não os usamos para publicidade própria.
5. Bases legais
- Execução de contrato (art. 7º, V): conta, assinatura, conteúdo, publicações e campanhas — sem isso o serviço não existe.
- Obrigação legal (art. 7º, II): registros fiscais e de cobrança.
- Legítimo interesse (art. 7º, IX): segurança, prevenção a fraude e o registro de auditoria.
- Consentimento (art. 7º, I): a conexão de cada canal, concedida pelo assinante na tela de autorização da própria plataforma e revogável a qualquer momento.
6. Por quanto tempo guardamos
- Conta e organização: enquanto a conta existir.
- Conteúdo e arquivos: enquanto a conta existir, ou até que o assinante os remova. O fim da assinatura suspende o acesso às funções pagas, não apaga o material — apagar é uma ação do assinante, em Assinatura › Seus dados.
- Dados obtidos das integrações (YouTube e demais plataformas): apagados imediatamente ao desconectar a integração, ao pedir a exclusão dos dados das integrações ou ao excluir a conta.
- Assinatura e cobrança: pelo prazo exigido pela legislação fiscal.
- Tentativas de login: pelo tempo necessário ao controle de bloqueio por tentativas.
- Auditoria: é um registro imutável e permanece como histórico das ações realizadas.
7. Segurança
- Acesso ao painel somente por HTTPS.
- Senhas armazenadas como hash; jamais em texto claro e jamais recuperáveis.
- Tokens de sessão guardados apenas como hash, e bloqueio automático após tentativas repetidas de login.
- Credenciais de plataformas cifradas com chave própria por assinante, protegida por uma chave mestra que não fica no banco de dados.
- Cada assinante tem seus dados isolados por organização; nenhum assinante alcança os dados de outro.
8. Cookies
O painel não usa cookies de rastreamento nem ferramentas de publicidade. A sessão é mantida por um token guardado no próprio navegador do usuário, apagado ao sair.
9. Integração com o YouTube
Quando você conecta um canal do YouTube ao Cross Growth OS, o serviço usa a API do YouTube. Ao usar essa integração você também concorda com os Termos de Serviço do YouTube e fica sujeito à Política de Privacidade do Google.
O que guardamos do seu canal. O identificador e o nome do canal, os escopos que você concedeu, a validade do token e o identificador dos vídeos que publicamos por sua conta. O token de acesso fica cifrado em cofre e nunca aparece em tela, log ou relatório. Não coletamos métricas de audiência do seu canal nem dados de terceiros.
Para que usamos. Exclusivamente para executar o que você pediu: enviar o vídeo ao seu canal e conferir depois se ele realmente chegou lá. Não usamos esses dados para publicidade, não os vendemos e não os cruzamos com os de outro assinante.
Quando excluímos. Em três situações, e em todas a exclusão é imediata e inclui o token:
- quando você desconecta a integração — revogamos o acesso junto ao Google e apagamos os dados obtidos pela API;
- quando você solicita a exclusão dos dados das integrações, em Assinatura › Seus dados;
- quando você exclui sua conta no Cross Growth OS.
O histórico interno de uso do produto (que você publicou algo, quando, e se deu certo) permanece sem nenhum identificador do YouTube.
Como revogar sem depender de nós. A qualquer momento, em myaccount.google.com/permissions, ou pelo botão Desconectar na tela de Contas conectadas.
10. Direitos do titular e canal do encarregado
A LGPD (art. 18) garante confirmação de tratamento, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamentos e revogação de consentimento.
Você mesmo exerce a exclusão, sem pedir a ninguém: em Assinatura › Seus dados o painel oferece Excluir dados das integrações e Excluir minha conta. As duas são imediatas.
Canal do encarregado e de privacidade: privacidade@mycross.com.br.
Pedidos enviados a esse canal são respondidos em até 15 dias.
Quando o dado pertencer à audiência ou à carteira de clientes de um assinante, quem responde é o assinante, porque é ele o controlador daquele dado — nós encaminhamos o pedido a ele e prestamos o apoio técnico necessário.
11. Alterações
Mudanças nesta política são publicadas nesta página, com nova data de atualização. Alterações que afetem a forma de tratamento são comunicadas aos assinantes antes de entrar em vigor.